Phương pháp nghiên cứu
Cập nhật lần cuối: 14 tháng 10, 2026.
Trang này giải thích dữ liệu nghiên cứu của chúng tôi đến từ đâu, những giới hạn chúng tôi tuân thủ và cách chúng tôi công bố kết quả.
Dữ liệu chúng tôi thu thập
Mỗi ngày digimasi.com đều nhận yêu cầu từ các chương trình tự động. Chúng tìm những tệp chưa từng tồn tại trên website của chúng tôi, ví dụ trang đăng nhập WordPress, tệp cấu hình hoặc tệp sao lưu.
Chúng tôi chỉ ghi lại một yêu cầu khi có đủ hai điều kiện: website trả lời "không tìm thấy", và địa chỉ được yêu cầu khớp với một kiểu dò quét đã biết. Nội dung được ghi lại:
- thời gian, địa chỉ được yêu cầu và phương thức yêu cầu
- địa chỉ IP, quốc gia và mạng nguồn
- thông tin nhận dạng của chương trình được dùng (user agent)
- tên đăng nhập và mật khẩu mà chương trình đó thử trên một trang đăng nhập không tồn tại
Các lượt truy cập thông thường không bị ghi lại theo cách này, kể cả địa chỉ gõ nhầm. Bản ghi sẽ bị xóa sau 90 ngày.
Những việc chúng tôi không bao giờ làm
- Quét, kiểm thử hoặc cố đăng nhập vào hệ thống không thuộc về chúng tôi.
- Thay đổi câu trả lời của website để dụ công cụ quét. Chúng nhận cùng một trang "không tìm thấy" như mọi khách truy cập khác.
- Hiển thị địa chỉ IP trên website này. Ở đây chúng tôi chỉ nêu quốc gia và mạng.
- Công bố mã tấn công dùng được ngay.
Báo cáo kẻ tấn công
Những địa chỉ rõ ràng đang tấn công sẽ được chúng tôi báo cáo cho AbuseIPDB, cơ sở dữ liệu công khai mà quản trị viên khắp thế giới dùng để chặn kẻ tấn công.
Chúng tôi chỉ báo cáo địa chỉ nào trong vòng 24 giờ đã yêu cầu từ năm tệp nhạy cảm trở lên vốn không có trên website này, hoặc đã gửi một lần đoán đăng nhập. Một yêu cầu lạc lõng thì không bị báo cáo. Báo cáo gồm địa chỉ IP, thời gian và ví dụ về các địa chỉ được yêu cầu. Mật khẩu và tên đăng nhập bị đoán không được gửi đi.
Xem xét phần mềm mã nguồn mở
Khi xem xét phần mềm mã nguồn mở, chúng tôi cài đặt trên máy của mình và chỉ kiểm thử bản sao đó. Chúng tôi không kiểm thử website đang hoạt động của người khác.
Báo cáo vấn đề
Vấn đề chúng tôi tìm thấy được báo riêng cho nhà phát triển trước, qua kênh bảo mật chính thức của dự án. Chúng tôi công bố bài viết sau khi bản vá được phát hành, hoặc 90 ngày sau khi gửi báo cáo, tùy điều kiện nào đến trước. Chúng tôi cho nhà phát triển biết ngày đó ngay từ thư đầu tiên.
Cách chúng tôi công bố kết quả
- Chúng tôi công bố tổng số, bảng xếp hạng và các kiểu mẫu, kèm khoảng thời gian của dữ liệu.
- Mật khẩu mà kẻ tấn công đã thử có thể được công bố dưới dạng xếp hạng, vì chúng đến từ danh sách đoán của kẻ tấn công, không phải từ tài khoản của bất kỳ ai.
- Dữ liệu của chúng tôi đến từ một website. Kết quả mô tả những gì một website doanh nghiệp như của chúng tôi gặp phải, không phải toàn bộ internet.
Báo cáo vấn đề cho chúng tôi
Nếu bạn phát hiện vấn đề bảo mật trên digimasi.com, hãy gửi tới security@digimasi.com. Thông tin liên hệ này cũng có tại /.well-known/security.txt.